EntraID/AzureAD - SCIM API 驱动的 Entra 配置 - 为什么 employeeLeaveDateTime 未同步到 Entra

Question

我对employeeHireDate时间和employeeLeaveDateTime使用正确的日期格式，即“YYYY-MM-DDThh:mm:ssZ”，按照https://learn.microsoft.com/en-us/entra/id-governance/如何生命周期工作流同步属性

配置日志表明 Azure 中的两个属性均已更新 配置日志，但是在签入 Graph Explorer/MgGraph 时，employeeHireDate 有值，但 employeeLeaveDateTime 为 null Graph Explorer 输出

两个属性均与直接映射规则同步。

自定义架构属性：

                "urn:ietf:params:scim:schemas:extension:itixcustom:1.0:User": {
                    "employeeType": "internal",
                    "HireDateTime": "2024-07-07T01:00:00Z",
                    "LeaveDateTime": "2033-07-07T21:00:00Z"    
                }

直接映射： 直接映射

分配给调用 /bulkupload API 的服务主体的 API 权限： API权限

作为一种解决方法，我可以单独调用 GRAPH API 来更新 employeeLeaveDateTime - 您需要 为此，请使用以下图形 API：User-LifeCycleInfo.ReadWrite.All - 允许应用程序在没有登录用户的情况下读取和写入组织中用户的生命周期信息，例如 employeeLeaveDateTime。 但它并不真正满足对/bulkupload的期望

Answer 1

我解决了这个问题。

1. 如果您使用API驱动的配置TO ENTRA，employeeHireDate和employeeLeaveDateTime必须采用格式“YYYY-MM-DDThh:mm:ssZ”。即使日期时间值发生变化，其他格式也将被视为“跳过”操作。 https://learn.microsoft.com/en-us/entra/id-governance/how-to-lifecycle-workflow-sync-attributes
2. 我无法在图形资源管理器中读取employeeLeaveDateTime，因为我没有同意User-LifeCycleInfo.Read.All委托权限，User.Read.All/Directory.Read.All不起作用并且显示NULL值。 https://learn.microsoft.com/en-us/graph/tutorial-lifecycle-workflows-set-employeeleavedatetime - 将 User-LifeCycleInfo.Read.All 分配给我的服务主体后，我终于可以通过 MgGraph 读取 employeeLeaveDateTime :

$User = Get-MgUser -UserId $UserId -Property EmployeeLeaveDateTime
$User.EmployeeLeaveDateTime